最新版ガイドラインでどう変わる? 医療機関のセキュリティ対策状況

このニュースでは、医療等情報利活用ワーキンググループで報告された医療機関のサイバーセキュリティ対策の現状とガイドライン改定の論点を整理します。サイバー対策の強化とコスト捻出に直面する医療機関の経営者やシステム管理者に役立つ最新動向を解説します。

医療機関におけるサイバーセキュリティ対策の現状と調査結果

7月24日、医療等情報利活用ワーキンググループが開催され、医療機関におけるサイバーセキュリティ対策が議題のひとつとなりました。
今回は、病院のサイバーセキュリティ対策についての調査結果が報告されています。約5,800施設から得た回答を、病床の規模別に結果がとりまとめられています。
調査結果のうち、サイバーセキュリティ対策チェックリストの項目として取り上げられているものをいくつか見てみると、まず、サーバ・端末PC・ネットワーク機器の台帳管理は全体で9割の医療機関が対応していると回答しており、高い水準となっていることがわかります。

また、USBの接続を運用管理規程やシステムで制限している医療機関は全体で約8割で、病床数が多いほど高くなる傾向にあります。
ネットワーク機器のセキュリティパッチ適用は、病床数にかかわらずほぼ一定の7割ほどが対応しており、サーバ・端末PCに対するセキュリティパッチ適用は、全体で6割ほどであり、病床数が多くなるほど割合が減少する傾向が見られます。
MDS／SDSを用いた点検については、昨年よりやや増加傾向で、全体で59％となっています。

さらに、事業継続計画（BCP）の策定については、昨年より割合が大きく増加しています。
チェックリスト以外の項目を見ると、例えば、電子カルテのバックアップデータの作成については、全体で97％と非常に高い割合となっています。
一方で、バックアップを3個以上作成している場合や、3世代以上管理しているケースとなると、やや割合は下がっています。
そして、今回の調査の中で、最も割合が低かったものは、二要素認証の導入であり、全体でわずか11％という数値にとどまっています。

「安全管理に関するガイドライン」改定に向けた主な論点

これらの結果から、対策が進んでいるものと、二要素認証のように進んでいないものがあることがわかります。こうした結果も踏まえて、今後の対策が検討されることとなります。

また、今回のWGでは、「医療情報システムの安全管理に関するガイドライン」の改定についても触れられています。最新版である第6.0版は、2023年5月に公表されたものです。セキュリティ対策技術が進展していることや、社会情勢の変化などに対応した内容とするために、改定に向けた議論が進められようとしています。
ガイドラインの改定について、想定されている主な論点は次のとおりです。

まず、認証に関する論点です。システムや業務上の制約によって二要素認証の導入が難しい場合は、二要素認証に相当する対策を講じることが現在のガイドラインでは示されていますが、今後もこういったケースを認めていくのか、また、認める場合は具体的な要件を精緻化することが求められます。
次に、AI活用が増えていることを踏まえて、AI利用時の医療情報の取り扱いについて、検討していくことが挙げられています。
続いて、クラウドについては、複数のクラウドサービスが連携していくことを踏まえて、よりサプライチェーンリスクを想定した内容を追記する必要性があると見られます。

さらに、テレワークの増加を受けて、医療従事者が医療機関の外部からデバイスを利用する場合の内容が明確になっていない点も指摘されています。
そして、サイバーセキュリティ対策としては、ゼロトラスト対応や、振る舞い検知などの有効な対策について、より具体的に示す必要があると見られています。
加えて、外部委託の実態を踏まえた対策等も検討事項のひとつです。

医療機関の経営状況とコスト支援の必要性

セキュリティ対策は継続した課題ではありますが、昨今の医療機関経営の状況を鑑みても、対応にかかるコストの捻出は高いハードルになることが想定されます。こうした状況から、コスト支援の必要性なども指摘されており、今後どのように議論が進むのか注目されます。